Danh mục sẵn sàng NIS2: Các bước thực tiễn cho doanh nghiệp

Đây là gì

Sẵn sàng cho NIS2 có nghĩa là hiểu liệu chỉ thị có áp dụng cho tổ chức hay không và áp dụng như thế nào, sau đó xây dựng và lập hồ sơ các biện pháp quản trị, kỹ thuật và tổ chức mà chỉ thị kỳ vọng. Điều 21 liệt kê các lĩnh vực của biện pháp quản lý rủi ro an ninh mạng, bao gồm phân tích rủi ro và chính sách bảo mật, xử lý sự cố, duy trì hoạt động liên tục và quản lý khủng hoảng, an ninh chuỗi cung ứng, mua sắm và phát triển an toàn bao gồm xử lý lỗ hổng, đánh giá hiệu quả của các biện pháp, vệ sinh an ninh mạng cơ bản và đào tạo, mật mã, an ninh nhân sự và kiểm soát truy cập, cũng như xác thực đa yếu tố hoặc xác thực liên tục. Điều 20 đặt trách nhiệm lên các cơ quan quản lý trong việc phê duyệt và giám sát các biện pháp này. Điều 23 quy định việc báo cáo sự cố theo từng giai đoạn cho cơ quan có thẩm quyền hoặc CSIRT: cảnh báo sớm trong vòng 24 giờ kể từ khi biết về một sự cố nghiêm trọng, thông báo sự cố trong vòng 72 giờ và báo cáo cuối cùng trong vòng một tháng kể từ khi thông báo sự cố. Luật quốc gia có thể bổ sung chi tiết, và đối với một số nhà cung cấp dịch vụ số như nhà cung cấp dịch vụ đám mây, trung tâm dữ liệu, dịch vụ được quản lý và DNS, Quy định thực thi của Ủy ban (EU) 2024/2690 quy định chi tiết hơn các yêu cầu kỹ thuật.

Dành cho ai

Danh mục này dành cho:

• Các tổ chức quy mô vừa và lớn trong các lĩnh vực thuộc phạm vi NIS2 đang đánh giá vị trí của mình
• Nhà cung cấp cho các đơn vị thuộc phạm vi đang nhận các bảng câu hỏi bảo mật liên quan đến NIS2
• Ban lãnh đạo cần một góc nhìn có cấu trúc về những gì cần thảo luận với cố vấn pháp lý và kỹ thuật
• Trưởng bộ phận IT và bảo mật đang chuẩn bị phân tích khoảng cách và lộ trình

Giúp làm rõ điều gì

Làm theo danh mục giúp làm rõ:

• Tổ chức có khả năng thuộc phạm vi hay không và cơ quan quốc gia nào có thẩm quyền
• Các biện pháp kiểm soát và tài liệu hiện tại còn thiếu ở đâu so với các biện pháp được kỳ vọng
• Ai trong ban lãnh đạo chịu trách nhiệm và họ cần được đào tạo những gì
• Khoảng cách nào cần xử lý trước và khoảng cách nào cần ý kiến chuyên gia riêng

Những gì được bao gồm

• Phạm vi: xác nhận lĩnh vực, quy mô và các quốc gia thành viên nơi tổ chức hoạt động; ghi lại kết quả và lập luận
• Đăng ký: kiểm tra xem luật quốc gia có yêu cầu đăng ký với cơ quan có thẩm quyền hay không và hạn chót là khi nào
• Quản trị: chỉ định một lãnh đạo chịu trách nhiệm, thống nhất cách ban lãnh đạo phê duyệt và rà soát các biện pháp bảo mật, và lên kế hoạch đào tạo cho ban lãnh đạo
• Đánh giá rủi ro: lập hồ sơ các dịch vụ quan trọng, các hệ thống hỗ trợ và những rủi ro chính đối với chúng
• Chính sách: duy trì chính sách an toàn thông tin, quy tắc kiểm soát truy cập và hướng dẫn về mật mã
• Xử lý sự cố: xác định thế nào là sự cố nghiêm trọng đối với tổ chức, ai quyết định và cách chuẩn bị các báo cáo 24 giờ, 72 giờ và một tháng
• Duy trì hoạt động liên tục: kiểm thử sao lưu và khôi phục cho các dịch vụ quan trọng, đồng thời lập hồ sơ truyền thông khủng hoảng
• Chuỗi cung ứng: liệt kê các nhà cung cấp ICT chủ chốt, rà soát cam kết bảo mật của họ và đưa điều khoản bảo mật vào hợp đồng
• Phát triển an toàn và xử lý lỗ hổng: xác định cách báo cáo, phân loại và sửa lỗ hổng
• Vệ sinh an ninh mạng và đào tạo: tổ chức đào tạo nâng cao nhận thức định kỳ, vá lỗi theo lịch và bắt buộc MFA
• Hiệu quả: lên kế hoạch rà soát hoặc kiểm thử định kỳ để chứng minh các biện pháp có hiệu quả

Những gì không được bao gồm

• Tư vấn pháp lý hoặc kết luận rằng tổ chức thuộc hay không thuộc phạm vi
• Chứng nhận, phê duyệt tuân thủ hoặc ý kiến kiểm toán chính thức
• Thay mặt tổ chức nộp báo cáo hoặc đăng ký với cơ quan có thẩm quyền
• Khẳng định rằng hoàn thành danh mục là đáp ứng luật quốc gia

Khi nào nên chọn

Hãy dùng danh mục này khi lần đầu đánh giá NIS2, khi luật chuyển hóa tại một quốc gia nơi tổ chức hoạt động được ban hành hoặc cập nhật, hoặc khi khách hàng yêu cầu bằng chứng về bảo mật phù hợp với NIS2. Kết hợp danh mục với tư vấn pháp lý về phạm vi và các yêu cầu quốc gia. Nếu đã vận hành một chương trình dựa trên ISO 27001, hãy ánh xạ các biện pháp kiểm soát hiện có vào danh mục trước khi tạo tài liệu mới. Bài viết này là thông tin chung và không phải là tư vấn pháp lý.

Phương pháp của chúng tôi

Hãy bắt đầu với phạm vi và quản trị; công việc kỹ thuật thiếu sự làm chủ của ban lãnh đạo thường bị đình trệ. Tiếp theo, thực hiện phân tích khoảng cách so với các biện pháp, dựa trên bằng chứng thay vì giả định: cấu hình, nhật ký, kết quả kiểm thử, hợp đồng và hồ sơ đào tạo. Xếp hạng các khoảng cách theo rủi ro và công sức, và xây dựng lộ trình có người phụ trách và mốc thời gian. Dịch vụ Security Baseline Review của chúng tôi có thể cung cấp một điểm khởi đầu được lập thành tài liệu: góc nhìn bằng văn bản về các tài sản đã thống nhất, các quan sát được xếp theo mức độ nghiêm trọng và các quan sát về khoảng cách sẵn sàng so với một tham chiếu đã thống nhất, nếu có trong phạm vi đã xác nhận. Dịch vụ này hỗ trợ các quyết định nội bộ và thảo luận với các bên liên quan bằng một góc nhìn về mức độ sẵn sàng được lập thành tài liệu, mà bạn có thể mang đến các tổ chức chứng nhận và cố vấn pháp lý. Đối với xử lý sự cố, hãy diễn tập mốc thời gian báo cáo bằng một bài tập mô phỏng trên bàn (tabletop exercise) để cảnh báo sớm trong 24 giờ trở nên khả thi thay vì chỉ mang tính lý thuyết. Hãy xem lại lộ trình khi hướng dẫn quốc gia được phát triển thêm.

Security Baseline Review

Câu hỏi thường gặp

Bài viết liên quan